Gratis tool · Cyberbeveiligingswet (NIS2)
Valt jouw organisatie onder de Cyberbeveiligingswet (NIS2)?
Dat hangt af van drie dingen: je sector, je omvang en een paar bijzondere situaties. Beantwoord vier vragen en je weet of je een essentiële of belangrijke entiteit bent, welke plichten daarbij horen en op welk wetsartikel dat rust.
- Je antwoorden blijven in je browser: er wordt niets verstuurd of opgeslagen
- Gebaseerd op de wettekst zoals die geldt sinds 15 augustus 2026
- Laatst getoetst aan de wettekst:
Cbw-scopecheck: uitkomst
Datum: ·
Uitkomst
Je organisatie is waarschijnlijk een essentiële entiteit Je organisatie is waarschijnlijk een belangrijke entiteit Je organisatie valt waarschijnlijk niet onder de Cyberbeveiligingswet De Cyberbeveiligingswet geldt niet voor deze organisatie De Nederlandse wet geldt voor jullie waarschijnlijk niet Geen essentiële of belangrijke entiteit, wel een registratieplicht Alleen na aanwijzing door de minister
De Cyberbeveiligingswet geldt volledig. De toezichthouder mag ook zonder aanleiding controleren, bijvoorbeeld met een audit of een beveiligingsscan. De plichten zijn dezelfde als voor essentiële entiteiten. Het verschil zit in het toezicht: de toezichthouder komt pas in actie bij een aanwijzing dat je de wet overtreedt. Op basis van je antwoorden ben je geen essentiële en geen belangrijke entiteit. De wet legt je dan geen eigen plichten op. Defensie, de inlichtingen- en veiligheidsdiensten, het Openbaar Ministerie, de politie en de veiligheidsregio's zijn uitgezonderd, behalve voor zover zij vertrouwensdiensten verlenen die ook buiten een gesloten systeem worden gebruikt (art. 5 lid 2). De Cyberbeveiligingswet geldt voor organisaties onder Nederlandse rechtsmacht. Is je organisatie in een andere EU-lidstaat gevestigd, dan geldt de NIS2-wetgeving van die lidstaat. Wie domeinnaamregistratiediensten verleent, moet zich registreren en nauwkeurige registratiegegevens bijhouden. De zorgplicht en de meldplicht gelden niet op deze grond alleen. Instellingen voor hoger onderwijs vallen pas onder de wet als de minister van OCW ze aanwijst als essentiële of belangrijke entiteit. Zonder aanwijzing gelden de plichten niet.
Waarop is dit gebaseerd?
- Art. 8 lid 1 onder a: gekwalificeerde verleners van vertrouwensdiensten zijn essentieel, ongeacht hun omvang.
- Art. 8 lid 1 onder b: registers voor topleveldomeinnamen zijn essentieel, ongeacht hun omvang.
- Art. 8 lid 1 onder c: DNS-dienstverleners zijn essentieel, ongeacht hun omvang.
- Art. 8 lid 1 onder d: middelgrote aanbieders van openbare elektronische communicatienetwerken zijn essentieel.
- Art. 8 lid 1 onder e: middelgrote aanbieders van openbare elektronische communicatiediensten zijn essentieel.
- Art. 8 lid 1 onder f: organisaties uit bijlage 1 die groter zijn dan een middelgrote onderneming, zijn essentieel.
- Art. 8 lid 1 onder g: ministeries en zelfstandige bestuursorganen van de centrale overheid zijn essentieel.
- Art. 8 lid 1 onder h: provincies, gemeenten, waterschappen en gemeenschappelijke regelingen zijn essentieel.
- Art. 8 lid 1 onder i: kritieke entiteiten onder de Wwke zijn essentieel, in elke sector en bij elke omvang.
- Art. 9 en art. 10: een minister kan een organisatie uit bijlage 1 of 2 aanwijzen als essentieel, bijvoorbeeld als enige aanbieder van een onmisbare dienst of als eerdere aanbieder van een essentiële dienst.
- Art. 10: een organisatie die voor 16 januari 2023 onder de Wet beveiliging netwerk- en informatiesystemen was aangewezen als aanbieder van een essentiële dienst, kan als essentiële entiteit worden aangewezen.
- Art. 11: de minister van OCW kan een instelling voor hoger onderwijs aanwijzen als essentiële entiteit.
- Art. 13: de minister van OCW kan een instelling voor hoger onderwijs aanwijzen als belangrijke entiteit.
- Art. 12 lid 1 onder a: middelgrote organisaties uit bijlage 1 zijn belangrijk.
- Art. 12 lid 1 onder b: middelgrote en grotere organisaties uit bijlage 2 zijn belangrijk.
- Art. 12 lid 1 onder c: kleine en micro-aanbieders van openbare elektronische communicatienetwerken zijn belangrijk.
- Art. 12 lid 1 onder d: kleine en micro-aanbieders van openbare elektronische communicatiediensten zijn belangrijk.
- Art. 12 lid 1 onder e: kleine en micro-verleners van vertrouwensdiensten zijn belangrijk.
- Art. 4: de wet geldt voor organisaties die in Nederland zijn gevestigd, voor telecomaanbieders die hier diensten aanbieden en voor digitale dienstverleners met hun hoofdvestiging of vertegenwoordiger in Nederland.
- Art. 4 lid 4: de regels voor domeinnaamregistratiediensten gelden bij een hoofdvestiging of vertegenwoordiger in Nederland.
- Art. 44: ook verleners van domeinnaamregistratiediensten leveren gegevens aan voor het nationale register.
- Art. 5: de wet is niet van toepassing op deze overheidsinstanties.
- Je organisatie valt niet onder een van de soorten entiteiten in bijlage 1 of 2, of is daarvoor te klein (art. 8 en 12).
Omvang volgens de Europese mkb-definitie: klein of micro middelgroot groot
Wat moet je regelen?
- Registreren: je gegevens aanleveren voor het nationale register van entiteiten en wijzigingen binnen twee weken doorgeven (art. 44).
- Zorgplicht: passende en evenredige maatregelen nemen op tien terreinen, van risicoanalyse en incidentafhandeling tot back-ups, de toeleveringsketen en multifactorauthenticatie (art. 21).
- Bestuur: het bestuur keurt de maatregelen goed. Elke bestuurder heeft uiterlijk 15 augustus 2028 aantoonbare kennis en vaardigheden, met een trainingscertificaat; nieuwe bestuurders binnen twee jaar na hun benoeming (art. 24).
- Meldplicht: een significant incident melden met een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand (art. 25 tot en met 29).
- Register van Enisa: je gegevens, waaronder vestigingen en IP-bereiken, aanleveren voor het Europese register, binnen een maand nadat je hieronder valt, en wijzigingen binnen drie maanden doorgeven (art. 47).
- Registratiegegevens: een database met nauwkeurige en volledige domeinnaamregistratiegegevens bijhouden en rechtmatige verzoeken om toegang binnen 72 uur beantwoorden (art. 49 en 50).
Geen eigen wettelijke plichten uit de Cyberbeveiligingswet.
Toezicht en boetes
Toezicht vooraf en achteraf (art. 70 tot en met 80). Boete voor de organisatie: maximaal € 10 miljoen of 2% van de wereldwijde jaaromzet, als dat hoger is. Voor een bestuurder persoonlijk: een last onder dwangsom of een boete tot € 25.000 (art. 92 en 93).
Toezicht achteraf, bij een aanwijzing van een overtreding (art. 81 tot en met 87). Boete voor de organisatie: maximaal € 7 miljoen of 1,4% van de wereldwijde jaaromzet, als dat hoger is. Voor een bestuurder persoonlijk: een last onder dwangsom of een boete tot € 25.000 (art. 92 en 93).
Goed om te weten
Meerdere activiteiten: de wet geldt voor de organisatie als geheel. De zwaarste indeling is hierboven getoond; de plichten gelden voor alle netwerk- en informatiesystemen die je voor je werkzaamheden of diensten gebruikt.
Groep: de indeling hangt af van de cijfers van de hele groep. Een kleine dochter van een grote groep is voor deze wet niet klein. Laat dit bij twijfel toetsen.
Financiële sector: val je onder DORA (Verordening (EU) 2022/2554), dan gelden de zorgplicht, de bestuursplichten en de meldplicht uit DORA in plaats van die uit de Cyberbeveiligingswet (art. 22, art. 24 lid 13 en art. 31); het toezicht daarop volgt dan DORA. Registreren moet wel. Organisaties die DORA zelf uitzondert, vallen ook buiten deze wet (art. 7).
Vertrouwensdiensten: een significant incident dat je vertrouwensdienst raakt, meld je binnen 24 uur in plaats van 72 uur (art. 27 lid 2).
Overheid: als bestuur geldt de minister, gedeputeerde staten, het college van burgemeester en wethouders of het dagelijks bestuur (art. 24 lid 12). De schorsing van bestuurders en van vergunningen geldt niet voor overheidsinstanties (art. 79).
Hoger onderwijs: na een aanwijzing gelden de zorgplicht en de bestuursplichten pas 36 maanden later (art. 97).
Let op: een minister kan ook een kleine organisatie in deze sector aanwijzen als essentiële entiteit, bijvoorbeeld als enige aanbieder van een onmisbare dienst (art. 9). Je krijgt daarover dan een besluit.
Als leverancier merk je het toch: klanten die onder de wet vallen, moeten de beveiliging van hun toeleveringsketen regelen en daarbij letten op de kwetsbaarheden en de beveiligingspraktijk van elke rechtstreekse leverancier (art. 21 lid 3 onder d en lid 4). Verwacht vragenlijsten, contracteisen en verzoeken om bewijs, zoals een ISO 27001-certificaat.
Buiten de EU gevestigd? Bied je deze diensten wel in Nederland aan, dan moet je een vertegenwoordiger in de EU aanwijzen (art. 42).
Je antwoorden
- Sector
- Soort organisatie
- Gevestigd in Nederland
- Biedt telecomdiensten aan in Nederland
- Hoofdvestiging of vertegenwoordiger in Nederland
- Onderdeel van een groep
- Personeel
- Jaaromzet
- Balanstotaal
- Bijzondere situaties
Dit is een indicatie op basis van je eigen antwoorden, geen juridisch advies. Bij een groepsstructuur, meerdere activiteiten of een mogelijke aanwijzing kan de uitkomst anders zijn. De wettekst op wetten.overheid.nl is leidend.
Hoe bepaalt de Cyberbeveiligingswet of je essentieel of belangrijk bent?
Kort gezegd: de sector bepaalt of je onder de wet valt, de omvang bepaalt meestal hoe. Grote organisaties in een zeer kritieke sector zijn essentieel. Middelgrote organisaties in die sectoren, en middelgrote en grote organisaties in de andere kritieke sectoren, zijn belangrijk. Kleine organisaties vallen er meestal buiten.
| Sector | Klein of microminder dan 50 fte, en omzet of balanstotaal tot en met € 10 miljoen | Middelgrootniet klein en niet groot | Groot250 fte of meer, of omzet boven € 50 miljoen en balanstotaal boven € 43 miljoen |
|---|---|---|---|
| Bijlage 1: energie, vervoer, bankwezen, financiële marktinfrastructuur, zorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid, ruimtevaart | Valt er niet onder | Belangrijk | Essentieel |
| Bijlage 2: post en koeriers, afvalstoffenbeheer, chemische stoffen, levensmiddelen, maakindustrie, digitale aanbieders, onderzoek | Valt er niet onder | Belangrijk | Belangrijk |
Zes uitzonderingen op de omvangsregel
- DNS-dienstverleners, registers voor topleveldomeinnamen en gekwalificeerde verleners van vertrouwensdiensten zijn altijd essentieel (art. 8 lid 1 onder a tot en met c).
- Aanbieders van openbare telecomnetwerken en telecomdiensten zijn al als middelgrote onderneming essentieel, en als kleine onderneming belangrijk (art. 8 lid 1 onder d en e, art. 12 lid 1 onder c en d).
- Niet-gekwalificeerde verleners van vertrouwensdiensten vallen er bij elke omvang onder (art. 12 lid 1 onder e).
- Ministeries, provincies, gemeenten en waterschappen zijn essentieel, net als zelfstandige bestuursorganen en gemeenschappelijke regelingen die als overheidsinstantie kwalificeren (art. 8 lid 1 onder g en h).
- Kritieke entiteiten onder de Wet weerbaarheid kritieke entiteiten zijn essentieel, in elke sector en bij elke omvang (art. 8 lid 1 onder i).
- Een minister kan organisaties aanwijzen, ook kleine, eerdere aanbieders van een essentiële dienst en instellingen voor hoger onderwijs (art. 9 tot en met 11 en art. 13).
Bronnen
- Cyberbeveiligingswet op wetten.overheid.nl: artikelen 4 tot en met 13, 15, 21 tot en met 31, 44 en 68 tot en met 93, en bijlage 1 en 2.
- NIS2-richtlijn (EU) 2022/2555, die met deze wet in Nederland is ingevoerd.
- Aanbeveling 2003/361/EG: de Europese definitie van kleine en middelgrote ondernemingen waarnaar de wet verwijst.
